Eindeutige Erkennung von einem Android Gerät zwecks Lizenz

[stalkingwolf]

Hallo zusammen,

ich stehe gerade davor eine Art Lizenzverwaltung für ein Android APP zu programmieren und überlege wie ich das Gerät eindeutig identifizieren kann.

MAC Adresse oder IMEI. Wobei ich mir bei letzterer nicht sicher bin ob es diese gibt wenn das Tablet z.b keine SIM Karte hat und nur im WLAN genutzt wird.

Oder hat jemand noch eine anderen guten Ansatz das Gerät eindeutig zu identifizieren?

Gruß
Sven

[himitsu]

Android ID

Android Device-ID (Geräte-ID))
Google Werbe-ID
IMEI
...

Die Werbe-ID wird bei der Androidinstallation/-Einrichtung generiert oder nach dem Zurücksetzen, bzw. man kann sie mit Tricks auch so neu generieren lassen, aber sie gibt es immer.

[stalkingwolf]

Ok.

IMEI fällt raus. Gerade danach gesucht diese gibt es bei Geräten ohne SIM nicht.

[mensch72]

anstatt der "GoogleWerbeID" als "GeräteID" würde ich als "APP-InstallationsID" bei Lizenz- und Sicherheitssachen den "GooglePushDeviceToken" vorschlagen, weil...

Der wird pro APP Installation von Google vergeben und dient dem OS seitigen Empfang von Pushnachrichten, die dann bei der App ankommen, bzw diese starten.
Da dies sowohl unter Apple IOS als auch Google Android funktioniert, verwenden wir diesen (bzw einen Hash ala SHA??? für alles was wir wirklich pro Geräteinstallation absichern wollen als Sicherheitsbasis. (Vorher hatten wir irgend eine UUID vom Filesystemeintrag des privaten APP Verzeichnisses, war aber gegen Android Systeme mit RootRechten nicht sicher genug)

Wir realisieren neban Lizenzsachen so auch eine EndToEnd Verschlüsselung, weil der PushDeviceToken nie von uns übertragen wird, nur die installierte App und der GoogleServer haben den und unser "App-BackendServer" holt/bekommt den nicht von den App sondern vom GoogleServer... daher ist jegliche Direktübertragung zw. unsrere App und unserem AppBackendserver sicherheitstechnisch "clean", weil für andere nicht zu decodieren und so auch bei Kopie wertlos.

Wir verwenden von Google übrigens jetzt "Firebase Cloud Messaging (FCM)" als die neue Version des vorherigen "Google-GCM", und wir lösen dies mit einer einfachen "DelphiPro-Lizenz" direkt programmiert ohne einen zusätzlichen "Highlevel"-PushServiceProvider ala EMS,...

[Rollo62]

Android
https://community.embarcadero.com/bl...ifierforvendor

iOS
https://support.google.com/adxbuyer/.../3221407?hl=en
http://www.opsactive.com/apple-quiet...-tracking-you/

Rollo

[himitsu]

Was wird aus der APP-InstallationsID, wenn man ein neues Handy hat, bzw. nach einem Crash alles zurückgesetzt wurde?
Oder einfach nur die App löscht und neu installiert?

OK, die Google Werbe-ID wird dabei ja auch neu generiert, wenn sich das Handy ändert.


Am Ende kommt es drauf an, ob man nur die Appinstalation erkennen will, aber eine spätere Neuinstallation nicht als den "Selben" erkennen will.
Es wird eh schwer einen "User" eindeutig zu identifizieren.

Man könnte eventuell auch über Google Games oder z.B. Facebook gehen und in diesen Konten eine "Spieler ID" nutzen.

[mensch72]

Ich will wenn es sich vermeiden lässt zunächst gar keine Nutzer identifizieren, wenn nur die APP installiert und genutzt wird.
Es reicht anfangs wenn sie für ein Gerät(WerbeID) bezahlt ist, bzw. meist bei internen Services&Daten für eine Installation(PushTokenID).

Wer seine APP löscht und neu installiert oder gar das Gerät "plattmacht" startet(und zahlt) neu ODER kann sich wenn er will melden und mit seiner PayPal-TransactionID idendifizieren, wenn er noch nicht registriert war. Ohne Registrierung oder PayPal-TransactionID... Pech.
Dann wird im BackendServer seine GeräteID und/oder seine APPID aktualisiert(die vorherige ersetzt), Doppelnutzung so automatisch ausgeschlossen, ausser es sind nach freiwilliger Indentifikation mehrere Geräte/APPs/Installationen auf einen Anwender bei uns registriert (z.B. oft Handy+Tablett).

Google oder Facebook Konto zur Identifikation... ne, erstens habe ich sowas selbst nicht und zweitens lieber was eigenes was sich wegen geringer Verbreitung kaum kommerziell lohnt zu knacken

=> es soll&muss einfach sein die App zu installieren und zu starten
=> daher zunächst auch eine Woche Grundnutzung OHNE den Aufwand mit womöglich 2 Wege Registrierung mit Bestätigungslink per Mail und oder SMS (ich habe auch nicht immer&überall mein E-Mailkonto im Zugriff, weil ich das z.B. absichtlich nicht auf meinem Handy habe)
=> wenn jemand pro Woche 1x sein Gerät plattmacht/tauscht kann er bei uns "ewig" die Grundfunktionen ohne Registrierung und/oder Zahlung nutzen

[bra]

Warum nicht den gängigen und benutzerfreundlicheren Weg gehen mit zwei Apps im Appstore: eine kostenlose Version und eine kostenpflichtige?
Ich würde mich bedanken, wenn ich bei einem neuen Gerät so einen Aufwand betreiben müsste, um eine App wieder zum Laufen zu bekommen

[himitsu]

Das ist aber kein Schutz, nur weil man was im Appstore gekauft hat, bzw. vor dem Download dafür bezahlen musste.

Gegen eine Kopie der APK und einer manuellen Installation schützt das nicht.

Kopie: Gut, ich hatte mal im Samsung-Appstore (aber technisch kein Unterschied zum Google Play Store) was gekauft, weil ich genervt war, diesen Appstore später gelöscht, da er ständig die von mit deaktivierte Bloadware reaktivierte.
Nach einem Reset des SAMSUNG und auch im neuen ASUS ... überall konnte ich problemlos mein Backup (die APK) wieder einspielen und nutzen.

[bra]

Nur, wer betreibt diesen Aufwand? Der normale Anwender ganz sicher nicht. Kommt natürlich auch auf die App an.